Oui — et c’est déjà en cours. Les modèles de classe Mythos d’Anthropic ont fait remonter 26 153 candidats de vulnérabilités dans des logiciels open source, dont 421 seulement ont été corrigés en amont. L’IA n’est plus le goulot d’étranglement de la détection : c’est la validation et la correction qui craquent.

La découverte de failles explose

Au premier semestre 2026, 35 853 CVE ont été publiées, soit environ 49 % de plus que l’année précédente, selon The Hacker News. Pourtant, seules 495 ont été cataloguées comme exploitées dans la nature sur la même période, et 116 étaient déjà attaquées le jour même de leur divulgation.

Le signal est clair : on découvre toujours plus, mais seule une infime fraction compte vraiment. Traiter chaque vulnérabilité à score CVSS élevé comme une urgence n’est pas seulement impossible — c’est le mauvais modèle.

Mythos, l’IA qui change l’échelle du problème

Les modèles de classe Mythos d’Anthropic ont identifié 26 153 candidats de vulnérabilités dans l’open source, un volume impossible à atteindre pour une équipe humaine. Là où la chasse aux failles prenait des semaines, elle se compte désormais en jours, voire en heures.

Mais la vitesse a un revers : les correctifs ne suivent pas. Sur ces 26 153 candidats, seuls 421 ont été corrigés en amont, d’après les données de divulgation d’Anthropic. La machine trouve, l’humain n’a plus les bras pour réparer.

Le vrai goulot d’étranglement n’est plus la détection

La question n’est plus « combien de failles trouve-t-on ? » mais « lesquelles sont réellement exploitables dans mon environnement ? ». Un même CVE peut toucher des centaines de systèmes, avec un impact rarement identique : certains sont inaccessibles, d’autres protégés par des contrôles.

Omdia a mesuré l’ampleur du chantier : 95 % des organisations placent le pentest en priorité haute, mais seulement 32 % de leur surface d’attaque est réellement testée chaque année. La validation d’exposition — prouver qu’une faille est exploitable — devient la compétence clé.

Ralentir pour sécuriser : l’appel d’Amodei

Face à cette accélération, Dario Amodei, PDG d’Anthropic, appelle à ralentir le rythme de développement des modèles de pointe. Il propose une à deux années supplémentaires dédiées aux mesures de sécurité et à la recherche sur l’alignement, selon ZDNet.

L’appel a reçu un soutien rare : Sam Altman et Elon Musk, pourtant en désaccord sur presque tout, ont tous deux approuvé. « Dario a raison », a commenté Musk. La détection va plus vite que notre capacité à encaisser ses résultats — un constat que même les rivaux partagent.

Ce que ça change pour une IA souveraine

Cette leçon vaut pour tous, pas seulement pour les laboratoires géants. Une IA éthique et open source doit intégrer la validation et la priorisation dès la conception, pas seulement la puissance de découverte.

La souveraineté, ce n’est pas trouver le plus de failles. C’est garder le contrôle du tri : savoir, preuve à l’appui, ce qui mérite une action immédiate et ce qui peut attendre. C’est exactement la discipline que nous cultivons à la Shadows Company : travailler dans l’ombre pour servir la Lumière, sans jamais céder à la panique du flux.

FAQ

L’IA remplace-t-elle les pentesteurs humains ?

Non. Elle augmente la couverture de découverte, mais la validation d’exposition et le jugement contextuel restent humains. Omdia note que 95 % des organisations en font une priorité, pour seulement 32 % de surface réellement testée.

Pourquoi autant de failles ne sont-elles jamais corrigées ?

Le volume dépasse la capacité de correction : 26 153 candidats remontés par Mythos pour 421 correctifs en amont. Prioriser ce qui est réellement exploitable devient plus important que tout corriger.

Faut-il ralentir le développement de l’IA, comme le demande Amodei ?

Sa proposition vise à donner du temps à la sécurité et à l’alignement, pas à stopper l’innovation. Sam Altman et Elon Musk l’ont tous deux soutenue.

Le score CVSS suffit-il à hiérarchiser les failles ?

Non. Le CVSS donne une base de sévérité commune, mais l’impact réel dépend de l’environnement : accessibilité, contrôles en place, criticité métier.

Quel est le rôle de l’open source dans cette équation ?

L’open source est à la fois le terrain où l’IA détecte le plus (26 153 candidats) et celui où la correction collective peut être la plus rapide — à condition d’y investir la validation, pas seulement la détection.

Ad Umbram, Ad Lucem.